c4.1 Acota los roles de las herramientas con mínimo privilegio y permission boundaries

Cada herramienta es un nuevo privilegio que gana el agente

Cuando un agente puede llamar a herramientas, cada integración de herramienta es un rol con permisos. El riesgo es doble: un rol de herramienta individual demasiado amplio y —de forma más sutil— la combinación de privilegios, donde un agente que encadena varias herramientas logra algo que ninguna herramienta por sí sola debía permitir. El mínimo privilegio por herramienta atiende lo primero; los límites de permisos (permission boundaries) atienden lo segundo al topar lo que cualquier rol de herramienta puede llegar a hacer, sin importar las políticas que se le adjunten.

Acota cada rol de herramienta estrechamente

Da a cada herramienta su propio rol con solo las acciones y los recursos que esa herramienta necesita: una herramienta de "leer registro de cliente" debería leer una tabla de DynamoDB, no tener dynamodb:*. Es la misma disciplina de mínimo privilegio que el rol de invocación del modelo, aplicada por herramienta.

Topa el techo con un límite de permisos

Un límite de permisos es una política administrada adjunta a un rol que establece sus permisos máximos. Los permisos efectivos del rol se convierten en la intersección de su política de identidad Y el límite, de modo que aunque la política de una herramienta se amplíe después (o un atacante intente adjuntar una más amplia), nunca puede exceder el límite:

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "ToolMaxPermissions",
      "Effect": "Allow",
      "Action": [
        "dynamodb:GetItem",
        "dynamodb:Query",
        "s3:GetObject"
      ],
      "Resource": "*"
    },
    {
      "Sid": "NeverTouchIdentityOrSecurity",
      "Effect": "Deny",
      "Action": [
        "iam:*",
        "kms:ScheduleKeyDeletion",
        "organizations:*"
      ],
      "Resource": "*"
    }
  ]
}

Adjúntalo al crear el rol de la herramienta:

aws iam create-role \
  --role-name agent-tool-read-customer \
  --assume-role-policy-document file://trust.json \
  --permissions-boundary arn:aws:iam::111122223333:policy/AgentToolBoundary

Haz obligatorio el límite para los roles de herramienta

El límite solo es efectivo si siempre está adjunto. Imponlo con una SCP o una condición de IAM (iam:PermissionsBoundary) para que cualquier rol creado para una herramienta deba llevar el límite; de lo contrario, un desarrollador puede crear un rol de herramienta sin límite al omitirlo. Así es como detienes la combinación de privilegios en un conjunto creciente de herramientas.

Nota de nomenclatura: el límite no concede nada por sí mismo; sigues necesitando la política de identidad de cada herramienta. El bloque Deny es el verdadero valor: acciones que ninguna herramienta debería realizar jamás (tocar IAM, borrar claves, administrar la organización).